engel.aloisius
-
Gesamte Inhalte
206 -
Registriert seit
-
Letzter Besuch
Beiträge erstellt von engel.aloisius
-
-
Hi,
erstelle mal eine normale Web Publishing Regel für den Webserver und deaktiviere SSL auf der Website, falls möglich. Du solltest dann auch einen Listener erstellen, der nur auf Port 80 lauscht.
Greift diese Regel?
Christoph
hab alles neu erstellt und es läuft
-
ich hatte das, glaub ich, schon mal erwähnt: beim SSL to SSL Bridging braucht der ISA ein Userzertifikat um sich gegenüber dem Webserver zu authentifizieren. Und dieses User-Zertifikat ist dann auf dem Bridging Tab auszuwählen.
ok, das werd ich versuchen ... dann müsste aber, wenn ich bei bridging alles auf 80 umleite und SSL außen vor lasse, das funtionieren, oder?
tuts aber nicht :mad:
weil im monitor zu sehen ist, dass der traffic von der rule nicht angenommen wird ...
-
ich würde mal zum test vorschlagen auf einem PC eine lokale policy einzustellen der den bildschirmschoner deaktiviert. problem an diesen lokalen policies ist aber das sie von AD GPO's überschrieben werden.
das problem ist, dass ich per gpo den bildschirmschoner schon deaktiviert habe ... die option ist für die user mit "kein" und "0" ausgegraut. in den energieeigenschadten steht alles auf präsentation mit viermal "nie" ...
und trotzdem schaltet sich das teil weg und sperrt sich ...
-
Kannst Du mal die genauen Settings der Publishing Rule hier posten? und die Einstellungen des Web-Listeners? Domains kannst Du ja abwandeln.
Christoph
also die rule:
general: heißt wie das web test.blabla.net und is enabled
action: allow
from: anywhere
to: server "test.blabla.net" mit "forward original header" aktiv und "requests appear to come from the original client" ebenfalls aktiv
traffic: http und https
public name: requests fpr the followin websites "test.blabla.net"
path: /*
bridging: 80 auf 80, 443 auf 443 ohne zertifikat zum authentifizieren
users: all users ohne credential forwarding
listener:
heißt wie das web "test.blabla.net"
net: external gebunden auf die öffentliche im dns eingetragene IP
preferences: http und https enables auf den standard-ports mit dem importierten webserver-zenrtifikat, authentication auf integrated
-
Jetzt musst Du nur noch schauen, weshalb die Regel nicht greift. Es muss alles passen: quelle: anywhere, ziel: muss der externe fqdn sein (test.blabla.net). Protokoll muss stimmen (HTTPS). User Set muss stimmen (all users). Ich geh jetzt einfach mal davon aus, weil es ja via HTTP geht, dass Netzwerkregeln etc. stimmen.
werd mir noch mal die netzwerkregeln ansehen ... quelle, ziel, berechtigungen und protokolle sind aber (meiner meinung) ok, ich verstehe nur nicht, warum die regel den http-traffic nimmt und den https-traffic nicht ...
-
hallo zusammen,
hab hier ein eigenartiges verhalten von vier kiosk-computern. diese sollten eigentlich mit einem standard-user im dauerbetrieb laufen, um kunden die warten einerseits produktinformationen zu zeigen und andererseits die möglichkeit zu geben, zu surfen.
ich hab den vier rechnern resp. den vier users per GPO die energierichtlinie auf präsentation gesetzte von gruppenrichtlinien.de (mit dem adm-templat). das funktioniert auch prinzipiell, denn unter energieoptionen wird die zuweisung auch angezeigt. wird an einem gerät zehn minuten nicht gearbeitet, schaltet sich der monitor weg und der arbeitsplatz wird gesperrt!
gibts da noch eine zweite policy, die ich setzen muss und die ich übersehen habe?
ps: eigentlich sind die damen am empfang ziemlilch *kuschelig* aber mittlerweile machen die einen leicht angesäuerten eindruck, wenn sie mich sehen - und das gefällt mir gar nicht - drum ist mein hilferuf umso dringender ;)
-
Leider haben wir nur den Datenträger Exchange 2003 ohne SP1. Gibt es da eine Routine zum Erstellen eines Datenträgers mit intetegrierten Servicepack 1?
eine integrationsinstallation gibts bei exchange meines wissens nach nicht. ich würde erst den exchange einspielen und dann das sp1 und erst dann die daten zurücksichern ...
-
Zusätze:
ich bin nach der anleitung von msisafaq.de vorgegangen.
SSL Bridging mit HOSTS Dateidaszenrtifikat ist auch am webserver gebunden.
mir is gerade im log aufgefallen, dass der https-traffic an der publishing-rule vorbeiläuft und von der "default rule" am ende abgeschmettert wird ... da liegt wahrscheinlich der hund begraben.
wie bring ich das jetzt wieder weg ... der listener horcht ja auf 80 und 443 ... ???
vom isa kann ich die seite über https://test.blabla.net aber aufrufen ...
-
Also: Zertifikat für http://www.domain.com'>http://www.domain.com beantragt heisst dann, dass als Public Name für die Website ebenfalls http://www.domain.com genutzt werden muss, und dass DNS entsprechend konfiguriert ist.
/edit: DNS Thematik:
ich habe in meiner Testdomain einen Webserver testsps.ad.testdomain.local, für den ich ein Zertifikat auf den Namen "sps.testdomain.local" beantragt habe. Dieses Zertifikat habe ich exportiert und auf dem ISA importiert und für den Weblistener verwandt.
Weiterhin habe ich eine Secure Web Publishing Rule erstellt, in der ich sps.testdomain.local als den Namen eingetragen habe, unter dem der testsps.ad.testdomain.local veröffentlich werden soll.
Dann bin ich hingegangen und habe auf dem externen DNS Server (BIND) einen A-record für sps.testdomain.local erstellt, der auf die externe Adresse des ISAs verweist. E voilà, das funktioniert!
hallo christoph
ich hab einen öffentlichen dns eintrag für die domain test.blabla.net eingerichtet. der a-eintrag zeigt auch auf die öffentliche IP. es kann also kein dns-problem sein, es funktioniert ja auch über http von außen.
das zertifikat ist auf den fqdn ausgestellt test.blabla.net ausgestllt und kommt von meiner internen ca. das root ca liegt ebenfalls im zerifikatsspeicher am isa. die hakerl bei der certificate revokation sind auf ja/ja/nein gesetzt, was ja auch richtig sein sollte.
in der rule, die test.blabla.net heißt, wird unter "public name" auf test.blabla.net gehorcht.
jetzt ein ABER: die domain ist auch in der hosts datei hinerlegt, die auf den internen server 10.1.14.6 zeigt. die IP ist auch im To-Tab eingetragen, weil der isa sonst ja im kreis läuft - er muss ja wissen wohin mit der anfrage ... TS meint aber, wenn ich es richtig gelesen habe, dass dort test.blabla.net reingehört oder? oder hab ich da nen knoten im hirn?? ganz falsch kanns ja nicht sein, weil das http-publisching ja funktioniert ... :(
-
danke nochmal für die links ...
nein, es is nicht komplett umgestellt worden von https2http ... obwohls wurscht wäre ;-)
wir haben jetzt mal ein testszenario aufgebaut, um alle eventualitäten durchspielen zu können.
die geschichte läuft mal von http2http, aber sobald https2irgendwas im spiel ist, kommt der fehler "server not found / DNS error"
ich bin mittlerweile ziemlich ratlos :shock:
-
hallo christoph,
danke erstmal für die ausführliche anleitung - aber ich krieg das ding nicht gebacken ... mittlerweile läuft das teil, wenn ich von http2http bridge, aber von https2https bleibt er wieder stecken
Technical Information (for support personnel)
* Error Code: 500 Internal Server Error. Das Token, das der Funktion übergeben wurde, ist ungültig. (-2146893048)
keine ahnung, was da nicht stimmt ... :shock:
-
ganz original funktioniert keine einzige variante des bridgings. weder https2https noch https2http. die clients bekommen immer einen dns-fehler bzw. nicht erreichbar: "Fehler: Server oder DNS kann nicht gefunden werden".
listener: ich hab schon probiert, den listener auf 80 und 443 horchen zu lassen, oder nur auf 80 oder nur 443; ändert nix, die verbindung kommt trotzdem nicht zustande. aktuell horcht er nur auf 80 UND 443, wobei ich die auf 80 ankommenden auf SSL verbiege und die korrekte fehlermeldung "Error Code: 403 Forbidden. The page must be viewed over a secure channel (Secure Sockets Layer (SSL)). Contact the server administrator. (12211)" erhalte. aber über SSL kommt gleich der fehler (s.o.)
rule: ich hab erst mal versucht, die mit den standardwerten zu fahren, schon das ist misslungen ...
allow from anywhere to interne_IP über HTTP/HTTPS traffic mit umbiegung zu HTTPS. der public name ist korrekt DNSiert der path auch. in bridging will ich alles weiter auf port 80 und das für alle user
ach ja, vom isa zum webserver funktioniert die verbindung auf 80.
damit bleibt mein problem, dass der ISA nach der annahme ein problem hat, den request richtig zu verarbeiten ...
hat wer ne idee?
-
wie, also die alte serverinstallation soll weiterlaufen, auf einer upgedateten oder gänzlich neuen hardware?
angeblich soll es woein tool geben, mit dem man ghost oder acronis-images virtuell weiterverwenden kann, dann könnte ich mir das als zwischenlösung vorstellen.
ideal wäre, würde ich meinen, parallel zu fahren und auf einem neuen virtuelln server nach und nach die dienste zu übersiedeln ...
-
hallo zusammen,
ich hoffe, dass ich trotz früher stunde am aschemittwoch hier eine lösung
fürmein problem finde ... folgende ausgangslage:
ich habe einen ISA 2004 SP2 als edge-firewall am laufen, der einerseits mein
intranet- und testwebserver veröffentlicht und andererseits das
entwicklerbüro mit internetzugang versorgt. ich wollte jetzt das intranet
über bridging veröffentlichen, damit ich nach außen SSL-verschlüsselt
arbeiten kann, intern den traffic aber unverschlüsselt weiterfahren kann. ich
scheitere aber beim aufsetzen der bridging-rule - bridging funktioniert weder
in sicher-sicher- noch in sicher-unsicher-konfiguration. ich hab eine sichere
verbindung nur mit einem SSL-tunnel durch den ISA direkt auf den webserver
hingebracht - und das is definitiv nicht das was ich will.
* DNS und IP-Konfiguration sind in ordnung und funktionieren.
* ich habe am ISA über die MMC/Zertifikate/ISA-computer das zertifikat des
webservers samt privatem schlüssel installiert, es scheint auch in der
ISA-verwaltung auf.
* die einstellungen zur verifizierung der SSL-Zertifikate (certifikate
revokation) sind korrekt (client certificates not revoked ist ein, server
certificates in a forward szenario ist ein, im backward-szenatio aus)
* das importierte server-zertifikat ist ein eigenes zertifikat
irgendwie scheints, dass ich mich wo verirrt habe - nur wo? und was hab ich
übersehen? kann mit jemand einen tipp geben? es sollte ja damit getan sein,
dass ich eine webserver-publishing-rule erstelle und die dann online schalte,
oder?
-
hab den thread irgendwie vergessen und beim suchen zu dem thema bin ich wieder drauf gestoßen.
Also die erste variante funktioniert die 2te nicht da du in einer SBS domäne keinen 2ten DC aufnehemen kannst.@ralle: also das ist dedinitif falsch: siehe hier ...
.:. http://www.SBSPraxis.de, die MCSEBoard Hilfe Seite für den Microsoft SBS Server 2003 .:.
http://www.sbspraxis.de/server/srv006/srv_006.html
außerdem läuft genau diese konfiguration bei einem kunden.
die aufgabenstellung ist immer noch die gleiche: AD und Exchange (es wurde eine standard esition gekauft) soll übersiedeln.
AD repliziert, aber was mach ich mit dem exchange? mag der SBS eine online-übersiedlung oder muss ich den exchange per backup ulnd restore übersiedeln?
-
Kann man nun den SecondShot mit dem 15% Voucher kombinieren?
wo bekommt man denn nen 15%-voucher?
-
Hier die anmeldelinks:
Get a FREE Second Chance to Pass Your Microsoft Certification Exam
http://www.microsoft.com/learning/mcp/offers/2ndchance/
Microsoft Second Shot Promotion
-
hallo zusammen,
kann das jemand bestätigen, ich finds ziemlich komisch: wollte heute meinen sbs2003, den ich von einer OEM-cd installiert und mit SP1 aktualisiert habe, über die installation-routine anpassen weil mein companyweb nicht mehr funktioniert (wollte das teil neu installieren). jetzt motzt er auf einmal, dass ich das nicht darf weil mein system kein OEM system mehr ist ...
kann das sein ...? :shock:
-
hallo zusammen,
ich hab ein workaround gebastelt, mit dem sich die GPMC auch nach dem .NET 2.0 installieren lässt. leider funktioniert das nur, wenn man das gesamte framework wegschmeißt und dann die version 1.1 wieder drauf macht. dann die GPMC aus dem link oben installieren und nach dem abschluss das neue framework 2.0 wieder rauf ...
-
den adminpak hab ich schon. aber die gpmc lässt sich auch in der neuesten version nicht unter .net 2.0 installieren ... :mad:
-
hallo zusammen,
nachdem ich am WE zeit hatte, mit sharepoint services herumzuexperimentieren, hab ich nach einigem hin und her auf einem SBS2003 ahrepointservices installieren können. das erreichen der zentraladministrationsseite funktioniert bereits, und ich kann auch ein oben stehenden web anlegen.
allerdings bekomme ich dann aber den fehler, wenn ich der neuen site eine vorlage zuweisen soll. die verarbeitung wird angestoßen, dann wirft mich der IIS aber raus und lösst mich mich nicht anmelden - error 401.1 - und das obwohl ich alles als administrator ausgeführt habe und immer die richtigen account-infos eingetragen habe ... ich darf mich auch normal nicht als user / admin an der sharepointseite anmelden ...
ich vermute mal dass die vorlagenzuweisung richtig funktioniert, aber das standard-web ein rechte-problem hat, wenn nicht mal der admin darf ... kann mir hier jemand einen tipp geben ...?
-
hallo zusammen,
hat von euch schon jemand erfahrungen mit dem neuen .NET framework 2.0 und der GPMC (Downloaddetails: Gruppenrichtlinien-Verwaltungskonsole (GPMC)
hab hier einen neu aufgesetzten rechner (mit 2.0) und da lässt sich die GMPC gar nicht mehr installieren ... :shock:
-
mein vue-testcenter recheriert und hat bis morgen eine stellungnahme versprochen
-
Ist ein nettes Gadget und macht in gewissen Situationen auch Sinn. Ist jedoch was völlig anderes als selbst-implantierte RFID-Chips.
ich denk mir auch, dass es vor allem für supportler sinnvoll wäre - es sperrt dir halt einfach den arbeitsplatz wenn du weg bist und gibt ihn wieder frei, wenn du kommst. und du tippst das kennwort halt ein, wenn die batterei von dem ei aus is ...
vielleicht kanns ja wer als tipp brauchen. oder vielleicht hat das wer und kann mal nen kurzen erfahrungsbericht geben ...
Ich finde sogar Piercings besch****t.ich auch - meistens, aber nicht immer :D
ISA bridging
in Windows Server Forum
Geschrieben
ülber port 80 ja.
jetzt hab ich den listener auf 443 dazugemacht und beim bridging auf 80 verbogen. und ssl gehts natürlich wieder nicht. die rule greift fürssl traffic einfach nicht ...
vorfreude war umsonst